Política de Privacidade do Bollsu

Versão 1.2, de 2026-10-22. Vigente a partir de 2026-10-22. Substitui a versão 1.1, de 2026-10-21.

O que mudou na versão 1.2: o item 4 passa a dizer de qual endereço saem os e-mails do Bollsu e que as mensagens que você manda ao nosso contato (inclusive as respostas aos nossos e-mails) passam pela Cloudflare e ficam numa conta de e-mail do Google (Gmail) usada só pelo Bollsu; os itens 1, 2, 5 e 6 foram ajustados para isso (o que guardamos, para quê, a transferência para fora do Brasil e por quanto tempo). O item 4 também ficou mais preciso sobre o que passa pelo serviço de e-mail: o apelido entra nos e-mails de senha, e os dados do seu Bolso e da sua Bolsa nunca vão. Os e-mails continuam os mesmos quatro, sem propaganda. Nada mudou no uso da IA nem nos demais tratamentos. Não é preciso aceitar de novo.

Esta Política explica, em linguagem simples, quais dados pessoais o Bollsu usa, para quê, com quem compartilha e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Vale para quem tem conta e também para quem só visita as páginas públicas do site.

Controlador (responsável pelos dados): Bollsu. Neste começo ele é operado por uma pessoa física, cuja identificação completa será informada a você, ou à Autoridade Nacional de Proteção de Dados (ANPD), quando a lei exigir, mediante pedido ao contato abaixo. Contato e canal para assuntos de privacidade e dados (canal do encarregado, LGPD art. 41): [email protected].

Documentos ligados a esta Política: Termos de Uso e Política de IA (o que vai ao Gemini).

1. Quais dados coletamos

Dados da conta

• Apelido (como você quer ser chamado) e e-mail. Não pedimos nome completo nem sobrenome. Contas mais antigas podem ter um sobrenome guardado, que é apagado quando a pessoa salva a tela "Minha conta".
• Senha: guardada apenas de forma embaralhada (hash, com o método PBKDF2); não conseguimos ler a sua senha.
• Confirmação de e-mail: o link enviado ao seu e-mail tem um código de uso único, válido por 24 horas; no servidor fica só uma versão embaralhada desse código. Cadastro não confirmado em 24 horas é apagado.
• Senha nova ("Esqueci a senha"): se você pedir, enviamos ao e-mail da conta um link de uso único, válido por 60 minutos; no servidor fica só uma versão embaralhada do código do link. Pedir um link novo anula o anterior.
• Data de criação da conta, e data e versão do aceite dos Termos, desta Política, da Política de IA e do texto da caixa de aceite.
• Sessão de acesso: um cookie de login (bollsu_sessao, HttpOnly, validade de 30 dias); no servidor fica só uma versão embaralhada do código da sessão e as datas de início e fim.
• Contador diário de uso da IA (quantas mensagens a conta usou no dia), guardado no banco da conta; os dias antigos são apagados depois de 40 dias.

Dados do Telegram (se você ligar a sua conta)

• Número de identificação (ID) do seu Telegram, o nome do seu perfil no Telegram e a data da ligação.
• As mensagens, fotos, áudios e arquivos que você manda ao bot.

Dados financeiros que você registra (Bolso)

• Transações: data, tipo (entrada ou saída), valor, categoria, subcategoria, descrição e observações.
• Categorias, metas de orçamento e percentuais, renda de referência, objetivos, início do mês financeiro e o apelido do perfil.
• Contas bancárias e cartões que você cadastrar (nome, banco, número, bandeira, final, saldo inicial, limite, dias de fechamento e vencimento).
• Contas fixas (recorrências) e lembretes de pagamento, com o que foi enviado e lido.

Dados de investimentos (Bolsa)

• Compras e vendas (código do ativo, quantidade, preço, taxas, data), proventos, renda fixa e outros investimentos sem cotação (nome, instituição e valor), metas por classe e fotos diárias da sua carteira para calcular o histórico.
• Arquivos que você importar (extratos da B3, do Tesouro Direto e similares): o conteúdo é lido para gerar as operações; o arquivo pendente e as cópias da importação ficam guardados para você poder desfazer. Extratos da B3 e do Tesouro reconhecidos pelo sistema são lidos sem IA.

Conversas com a IA

• Suas últimas mensagens e as respostas do assistente (até as 200 mais recentes por conta), os rascunhos de lançamentos pendentes e o último arquivo que você enviou (nome, tipo e texto lido, até 40 mil caracteres). Esse arquivo fica guardado até você enviar outro, mas só é usado como contexto da IA por 24 horas depois do envio.
• Áudios enviados são transformados em texto; guardamos o texto da conversa.

Dados técnicos

• Endereço IP e e-mail nas tentativas de login, de cadastro e de pedido de senha nova, e nos e-mails enviados: usados para limitar tentativas erradas e abuso. Na tabela de tentativas guardamos apenas uma versão embaralhada (hash) do IP e do e-mail, apagada depois de 24 horas (e com um teto de linhas). O IP também pode aparecer nos registros técnicos (logs) do servidor.
• Registros de funcionamento do sistema (logs), que não devem conter o conteúdo das suas finanças.
• Fontes de letra: são servidas pelo próprio site do Bollsu. O seu navegador não faz pedido a terceiros para carregá-las.

Registro mínimo do aceite (guardado mesmo depois de excluir a conta)

• Qual documento você aceitou (são quatro: Termos de Uso, Política de Privacidade, Política de IA e o texto da caixa de aceite), a versão de cada um, uma impressão digital (hash) do texto, a data do aceite e a data da exclusão, ligados a um código (pseudônimo) calculado por uma função irreversível (HMAC) com um segredo que só o servidor tem. Não inclui e-mail, apelido, IP, valores nem dados financeiros. Por ser um pseudônimo, a lei ainda o trata como dado pessoal. Detalhes no item 6.

Mensagens que você manda ao nosso e-mail de contato

• Se você escrever para [email protected] ou responder a um e-mail do Bollsu, guardamos a sua mensagem, o seu endereço de e-mail e o que mais você escrever nela, para responder e, no caso de sugestões, para melhorar o serviço.

Não coletamos CPF, documentos, localização nem contatos, e não acessamos o seu banco ou a sua corretora. Mas atenção: o que você digitar ou enviar (por exemplo, um extrato com CPF) será tratado como dado seu. Prefira não enviar o que não for necessário.

2. Para que usamos e com qual base legal

Não vendemos seus dados e não os usamos para publicidade.

3. Inteligência artificial (Gemini, do Google)

Para entender suas mensagens, o Bollsu envia à API do Gemini o que for necessário para responder: sua mensagem, trechos do histórico da conversa, seus últimos lançamentos e operações, a lista de categorias e metas, o apelido do seu perfil, e arquivos, imagens e áudios que você mandar. Não enviamos a sua senha, o seu e-mail nem o identificador interno da conta. Detalhes e exemplos estão na Política de IA.

Hoje usamos o plano gratuito do Gemini. Pelos termos do Google para a Gemini API (consultados em 2026-10-21; última atualização informada: 2026-04-28), nesse plano:

• o Google pode usar o conteúdo enviado e as respostas para melhorar os produtos dele;
• pessoas do Google podem ler esse conteúdo (o Google diz desvinculá-lo da conta, da chave e do projeto antes);
• os próprios termos do Google pedem que não se envie ao plano gratuito informação pessoal, sensível ou confidencial.

Por isso: não envie ao assistente CPF, senhas, documentos ou dados de outras pessoas. O aviso completo está também no item 7 dos Termos de Uso ("Uso de inteligência artificial e envio de dados ao Google"), que você aceita expressamente ao criar a conta; esse aceite é o seu consentimento específico e destacado para esse envio e para a transferência ao exterior. Se você não consentir, não poderá criar conta, porque a IA é o centro do serviço.

Parar de usar a IA. Hoje não existe um botão para revogar o consentimento mantendo a conta. Você para de enviar dados ao Google, sem custo, (a) não usando o assistente (o registro manual no site continua) ou (b) excluindo a conta. O que já foi enviado fica sob as regras do Google (item 6).

Limite de uso. Cada conta tem um limite diário de mensagens à IA; um áudio conta como 2 mensagens (a transcrição e a resposta).

Quando passarmos ao plano pago, esta Política será atualizada, você será avisado e um novo aceite poderá ser pedido. Pelos mesmos termos do Google, no plano pago o Google diz não usar o conteúdo para melhorar seus produtos; ele registra pedidos e respostas por período limitado (a página não informa quantos dias) para detectar abusos e cumprir obrigações legais. Não prometemos que o Google "não guarda nada".

Configuramos nossos pedidos para não pedir que o Google guarde a conversa na conta de desenvolvedor do Bollsu, mas isso não controla o que o Google faz com os dados.

A transcrição de áudio só usa outro provedor (Groq) se ele estiver configurado no lugar do Gemini. Se o Gemini estiver ativo, o áudio vai para o Gemini; o Groq não é usado como reserva quando o Gemini falha.

4. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar (operadores e fornecedores):

• Telegram: entrega as mensagens do bot.
• Google (Gemini): inteligência artificial e transcrição de áudio (item 3).
• Groq: transcrição de áudio, somente se estiver configurada no lugar do Gemini.
• Oracle Cloud (Vinhedo, Brasil): hospedagem do servidor, do banco de dados e das cópias de segurança.
• Serviço de envio de e-mail (Resend): envia os e-mails do próprio serviço. Todos saem com o nome Bollsu e de um endereço do domínio bollsu.com.br; as respostas chegam a [email protected] (ver "Caixa de entrada do contato", abaixo). São só estes quatro:
• Confirmação do cadastro: link de uso único, válido por 24 horas (também quando você pede o reenvio).
• Aviso de tentativa de cadastro: vai para o dono de um e-mail quando alguém tenta criar conta com um e-mail que já tem conta.
• Link para criar uma senha nova: só é enviado se você pedir em "Esqueci a senha" e se existir uma conta confirmada com aquele e-mail. O link é de uso único e vale 60 minutos. Se não foi você que pediu, ignore o e-mail: a sua senha continua a mesma.
• Aviso de senha trocada: enviado toda vez que a senha da conta muda (pelo link ou em "Minha conta"), com a data e a hora da troca, para você agir rápido se não foi você.
• Só e-mails de serviço: os quatro são transacionais: existem para a conta funcionar com segurança e não têm propaganda, oferta nem novidade. Por serem necessários, não há opção de descadastro; para deixar de recebê-los, exclua a conta. Hoje o Bollsu não envia e-mail de marketing; se um dia enviar, será só com o seu consentimento, pedido à parte, e com um jeito simples de sair.
• Dados que passam por ele: seu endereço de e-mail, o apelido da conta (só no link de senha nova e no aviso de senha trocada, que vão para conta já confirmada), o texto do e-mail (que pode incluir o link de confirmação, o link de senha nova ou a data e a hora da troca de senha), cabeçalhos técnicos e registros de entrega, devolução e reclamação. Não enviamos a ele a senha, os dados do seu Bolso e da sua Bolsa (lançamentos, saldos, carteira) nem o conteúdo das conversas.
• Finalidade e base legal: executar o cadastro e a recuperação de acesso que você pediu e proteger a conta e o dono do e-mail (item 2).
• Onde ficam os dados: os e-mails saem da região de São Paulo, mas o provedor informa que guarda os dados da conta e faz o processamento principal nos Estados Unidos. Ver item 5.
• Retenção no provedor: no plano usado, o provedor guarda os registros de envio por 30 dias. Esse prazo é do provedor e é maior que os 7 dias do item 6. Os links continuam nesses registros, mas deixam de funcionar depois de usados ou vencidos (60 minutos para a senha nova, 24 horas para a confirmação).
• Caixa de entrada do contato (Cloudflare e Google): as mensagens enviadas a [email protected] (inclusive respostas aos nossos e-mails) passam pelo serviço de roteamento de e-mail da Cloudflare e ficam guardadas numa conta de e-mail do Google (Gmail) usada só pelo Bollsu. Finalidade e base legal: responder você (item 2). Fora do Brasil: sim (item 5). Não mande senha, documentos nem dados financeiros por e-mail.
• Cloudflare: o site é acessado pela internet por meio da Cloudflare, que também cuida do endereço do site (DNS) e protege contra ataques.
• O que significa: a Cloudflare encerra a conexão segura (HTTPS) e vê o tráfego, inclusive a senha no momento do login, as mensagens e os valores que você digita, para repassá-los ao servidor. Ela mantém registros de acesso próprios, pelo prazo dela.
• Finalidade e base legal: entregar o site com segurança; execução de contrato (art. 7º, V) e legítimo interesse em segurança (art. 7º, IX).
• Transferência internacional: a Cloudflare é uma empresa dos Estados Unidos com rede global; o tráfego pode passar fora do Brasil (item 5).
• Fontes de cotação e índices (brapi, Yahoo Finance, Banco Central, Tesouro Transparente): recebem apenas códigos de ativos e pedidos de cotação, sem o seu nome nem os seus valores.

Também podemos compartilhar dados se uma lei ou autoridade exigir.

5. Transferência para fora do Brasil

Telegram, Google (Gemini e a caixa de entrada do contato), o serviço de e-mail (Resend), a Cloudflare e, se estiver configurado, o Groq podem processar dados fora do Brasil. Fazemos isso só para prestar o serviço.

• Google (Gemini): base no seu consentimento específico e em destaque, com informação prévia sobre o caráter internacional, dado ao aceitar o item 7 dos Termos na criação da conta (LGPD art. 33, VIII).
• Resend, Cloudflare e Telegram: a transferência é necessária para executar o serviço que você pediu (LGPD art. 33, IX, combinado com o art. 7º, V).
• Caixa de entrada do contato (Cloudflare e Google/Gmail): necessária para receber e responder o que você nos escreve (LGPD art. 33, IX, combinado com o art. 7º, V). Ao escrever ou responder, você manda a mensagem para essa caixa.

A hospedagem do servidor e das cópias de segurança fica no Brasil (Oracle, Vinhedo).

6. Por quanto tempo guardamos

• Dados da conta e dados financeiros: enquanto a conta existir. Você pode excluí-la a qualquer momento, sozinho, pelo site (item 7).
• Conversas com a IA: só as 200 mensagens mais recentes por conta.
• Último arquivo enviado: até você enviar outro (só é usado como contexto da IA por 24 horas).
• Sessão de login: até 30 dias.
• Tentativas de login e de cadastro (IP e e-mail embaralhados): 24 horas.
• Cadastro não confirmado: apagado em 24 horas.
• Link de senha nova (versão embaralhada): apagado quando é usado, quando você pede outro, quando a senha é trocada em "Minha conta", quando a conta é excluída ou na limpeza automática depois de vencer (60 minutos).
• Contador diário de IA: 40 dias.
• Cópias do "desfazer apagar tudo": ao usar "apagar tudo", o Bollsu guarda antes uma cópia dos seus registros financeiros, para você poder desfazer (até 5 por conta, sem prazo automático). Ao excluir a conta, essas cópias são apagadas junto.
• Exclusão da conta: é imediata. Apaga a conta, o banco de dados da conta, o vínculo do Telegram, as sessões, os rascunhos e as cópias da lixeira. Se o arquivo da conta não puder ser apagado na hora, a conta fica bloqueada e a exclusão termina em seguida.
• Prova mínima do aceite: a exclusão não apaga o registro mínimo descrito no item 1. Ele serve só para comprovar que os Termos, as Políticas e o texto de aceite foram aceitos, em caso de questionamento ou processo (defesa de direitos). Não tem e-mail, apelido, IP nem dados financeiros. É apagado automaticamente 5 anos depois da exclusão da conta, prazo ligado ao tempo que o Código de Defesa do Consumidor dá para pedir reparação por defeito do serviço (art. 27).
• Cópias de segurança do servidor: guardam os bancos das contas, em regra, por até 7 dias. Uma conta excluída pode continuar existindo nessas cópias até elas serem apagadas. Essas cópias não são usadas para outra finalidade.
• Como a rotação funciona: a cada atualização do sistema, cópias com mais de 7 dias são apagadas, mas as 3 cópias mais recentes de cada tipo ficam sempre e há no máximo 20 por tipo.
• Ressalva: se não houver atualização do sistema por vários dias, uma cópia pode passar de 7 dias, porque as 3 mais recentes são mantidas. Nesse caso, uma conta excluída pode continuar numa cópia por mais de 7 dias, até a cópia ser substituída por outra mais nova.
• Se uma cópia precisar ser restaurada: contas já excluídas que estiverem nela podem voltar a existir; ainda não existe rotina automática que reaplique as exclusões. Por isso não prometemos que elas serão apagadas de novo sozinhas. Se isso acontecer, você pode pedir a exclusão de novo pelo contato acima.
• Registros técnicos (logs): não devem conter dados financeiros. São mantidos por até 7 dias, salvo o que a lei ou uma ordem judicial obrigar a manter.
• Serviço de e-mail (Resend): 30 dias no provedor (item 4).
• Mensagens enviadas ao contato: até 12 meses depois da última troca de mensagens; pedidos de direitos do titular (item 7), 5 anos, pelo mesmo motivo da prova mínima do aceite. Você pode pedir antes a exclusão de uma sugestão ou opinião.
• Cloudflare: prazo próprio do provedor (item 4).
• Cópias no Google: o que já foi enviado ao Gemini fica sob as regras do Google (item 3); não temos como apagá-lo de lá.
• Telegram: o histórico da conversa com o bot fica também no seu Telegram e nos servidores dele; apague-o por lá se quiser.

7. Seus direitos e como exercê-los

A LGPD (art. 18) garante que você peça, a qualquer momento e sem custo: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade; eliminação dos dados tratados com consentimento (salvo as exceções da lei); informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências; e revogação do consentimento. Quando houver decisão tomada só por tratamento automatizado que afete seus interesses, você pode pedir revisão (art. 20).

Como fazer:

• Exportar seus dados (acesso e portabilidade): pelo site, em arquivo JSON, sozinho, a qualquer momento. O arquivo não traz senha embaralhada, códigos de acesso nem dados de outras contas.
• Excluir a conta e os dados: pelo site, sozinho, com a senha e efeito imediato (item 6). A prova mínima do aceite e as cópias por prazo curto seguem as regras do item 6.
• Apagar lançamentos específicos: pelo site ou pelo bot. Atenção ao "apagar tudo": uma cópia fica guardada até você excluir a conta.
• Corrigir dados: pelo próprio site (inclusive o apelido, em "Minha conta"). A troca de e-mail está fechada enquanto a confirmação por link estiver ligada; para trocar, fale com o contato abaixo.
• Parar de usar a IA / revogar o consentimento do Gemini: hoje, não usando o assistente ou excluindo a conta (item 3). Não há botão de "conta sem IA".
• Qualquer outro pedido (inclusive se você não conseguir entrar na conta): e-mail para [email protected], a partir do e-mail da conta. Podemos pedir uma confirmação simples de que a conta é sua, sem pedir documento. A confirmação de que tratamos seus dados e o acesso em formato simplificado são imediatos pelo próprio site; a declaração completa sai em até 15 dias do pedido (art. 19). Os demais pedidos são respondidos em até 15 dias, salvo prazo diferente fixado pela ANPD.

Se achar que seus direitos não foram respeitados, você pode reclamar à ANPD e a órgãos de defesa do consumidor (art. 18, §§1º e 8º).

8. Segurança

Usamos senha embaralhada (PBKDF2), cookie protegido, limite de tentativas por IP e por e-mail, confirmação de e-mail por link de uso único, verificação da origem dos pedidos mais sensíveis (exclusão, exportação, troca de senha), bancos separados por conta e acesso restrito ao servidor (quem cuida do servidor tem acesso técnico a ele). Para criar uma senha nova: link de uso único e com prazo de 60 minutos, a mesma resposta na tela exista ou não conta com o e-mail digitado (para não revelar quem tem cadastro), limite de pedidos por endereço de rede e de e-mails para um mesmo endereço, e aviso por e-mail a cada troca de senha. Depois de criar a senha nova pelo link, todas as sessões abertas da conta saem; ao trocar a senha em "Minha conta", saem as outras sessões. Nas duas trocas, o Telegram ligado à conta é desligado (para ligar de novo, use um código novo). Nenhum sistema é 100% seguro. Se houver incidente que possa causar risco ou dano relevante, avisaremos você e a ANPD (LGPD art. 48) no prazo da regulamentação da ANPD, hoje de 3 dias úteis a partir do momento em que soubermos que o incidente afetou dados pessoais.

O limite de tentativas por e-mail pode bloquear por alguns minutos o login de uma conta mesmo quando quem erra a senha não é o dono; aceitamos esse efeito para proteger contra adivinhação de senhas.

9. Menores de idade

O Bollsu é só para maiores de 18 anos (os termos do Google para a API também exigem). Se descobrirmos conta de menor, ela será encerrada e os dados apagados.

10. Cookies

Usamos um único cookie próprio, essencial, de login (bollsu_sessao). Não usamos cookies de publicidade nem de rastreamento. As fontes de letra são servidas pelo próprio site. A Cloudflare (item 4) pode definir cookies técnicos de segurança próprios, por exemplo ao verificar se o acesso vem de uma pessoa e não de um robô.

11. Mudanças

Mudanças relevantes serão avisadas com antecedência, com destaque para o que mudou, e o aceite poderá ser pedido de novo. A versão e a data ficam no topo.

Controle de versões

Resumo das mudanças da 1.2 (para quem sincroniza o código):

• Topo: versão 1.2, vigência 2026-10-22, "substitui a 1.1" e a linha pública "O que mudou na versão 1.2".
• Item 1: bloco novo "Mensagens que você manda ao nosso e-mail de contato".
• Item 2: linha nova (responder a quem escreve ao contato); apelido nas linhas do link de senha nova e do aviso de senha trocada.
• Item 4 (Resend): e-mails saem com o nome Bollsu, de endereço do domínio bollsu.com.br, e as respostas chegam ao contato; apelido nos e-mails de senha; frase do que não vai ao provedor. A lista dos quatro e-mails e a frase sobre marketing não mudaram. Item novo "Caixa de entrada do contato (Cloudflare e Google)".
• Item 5: caixa do contato (art. 33, IX, com o art. 7º, V).
• Item 6: prazo das mensagens enviadas ao contato.
• Sem mudança: itens 3, 7, 8, 9, 10 e 11. Termos de Uso 1.0 e Política de IA 1.1 continuam valendo sem alteração.
• Novo aceite: não é exigido. Os e-mails têm a mesma finalidade e o mesmo operador da 1.1, e a caixa do contato só recebe o que a própria pessoa escreve. Contas novas aceitam a 1.2 (versão e hash novos registrados pelo código); quem já tem conta continua sem nova tela de aceite.